Los piratas informáticos chinos lanzan una variante de Linux del malware PingPull
El actor de amenazas patrocinado por el estado chino Alloy Taurus ha introducido una nueva variante de PingPull malwarediseñado para sistemas Linux, dijo Palo Alto Networks en su Investigación. Además de la nueva variante, los investigadores también identificaron otra puerta trasera llamada Sword2033.
Aleación Tauro, un chino ADECUADOha estado activo desde 2012. El grupo realiza espionaje cibernético Campañas en Asia, Europa y África. El grupo es conocido por apuntar a empresas de telecomunicaciones, pero también se ha observado que apunta a instituciones financieras y gubernamentales en los últimos años.
Las primeras muestras del malware PingPull datan de septiembre de 2021. Los investigadores de Palo Alto Networks descubrieron en junio de 2022 que la funcionalidad descrita de la herramienta y lo atribuyó a Alloy Taurus. PingPull es un acceso remoto troyano que utiliza el Protocolo de mensajes de control de Internet (ICMP) para controlar y controlar (C2) Comunicación.
«La identificación de una variante de Linux del malware PingPull, así como el uso reciente de la puerta trasera Sword2033, indican que el grupo está evolucionando sus operaciones en apoyo de sus actividades de espionaje», dijo Palo Alto Networks en su investigación.
La nueva variante de Linux de PingPull se identificó en marzo. Actualmente, tres de los 62 proveedores consideran que la muestra es maliciosa.
Variante Linux de PingPull
La variante de Linux de PingPull se identificó al hacer coincidir la estructura de comunicación HTTP, los parámetros POST, las claves AES y los comandos C2. Utiliza un enlace estático OpenSSL (OpenSSL 0.9.8e) para interactuar con el dominio C2 a través de HTTPS, dijo Palo Alto Networks en su investigación.
“La carga útil luego espera que el servidor C2 responda con datos que son texto cifrado codificado en Base64 encriptado con AES usando P29456789A1234sS como clave. Esta es la misma clave que observamos anteriormente en el sabor original de Windows PE de PingPull», dice la nota de investigación.
La funcionalidad de la nueva variante de Linux es similar a la de la versión anterior de Windows. Permite a los atacantes enumerar, leer, escribir, copiar, renombrar y eliminar archivos y ejecutar comandos.
PingPull también comparte algunas funciones, parámetros HTTP y controladores de comandos con el shell web de China Chopper, que los investigadores sugieren: «Alloy Taurus toma el código con el que pueden estar familiarizados y lo incorporan en el desarrollo de herramientas personalizadas», dice el informe.
Los investigadores también identificaron otra puerta trasera, Sword2033. El proceso de comunicación con el C2 de Sword2033 es el mismo que el de la variante de PingPull Linux. Esta puerta trasera realiza tres funciones: carga un archivo en el sistema, descarga un archivo del sistema y ejecuta un comando.
Conexión con Sudáfrica y Nepal
Si bien las direcciones IP de los dominios C2 no muestran conexión con el gobierno sudafricano, según los investigadores, el nombre de dominio da la impresión de una conexión con el ejército sudafricano.
“El establecimiento de un servidor C2 que parece imitar al ejército sudafricano es excepcionalmente notable cuando se analiza en el contexto de los eventos recientes. En febrero de 2023, Sudáfrica se unió a Rusia y China para participar en ejercicios navales combinados”, dijo Palo Alto en su investigación.
Al analizar el tráfico al servidor Sword2033 C2, los investigadores identificaron conexiones persistentes que se originan en una IP que alberga múltiples subdominios para una organización que financia proyectos de desarrollo de infraestructura urbana a largo plazo en Nepal.
«Alloy Taurus sigue siendo una amenaza activa para las organizaciones gubernamentales, financieras y de telecomunicaciones en el sudeste asiático, Europa y África», afirma el informe de investigación. Para protegerse, las organizaciones deben centrarse en mejorar la seguridad de su red, la seguridad de los terminales y la automatización de la seguridad, añadió Palo Alto Networks.
Derechos de autor © 2023 IDG Communications, Inc.
Este contenido de ciberseguridad nos ha llegado de: CSO Online
Podrás encontrar la noticia original en el enlace que se encuentra a continuación: https://www.csoonline.com/article/3694891/chinese-hackers-launch-linux-variant-of-pingpull-malware.html#tk.rss_news
